Quishing: So funktioniert die Betrugsmasche mit dem QR-Code

Ein Brief droht mit Bußgeld und Löschung aus dem Handelsregister. Um das abzuwenden, sollen Unternehmen einen QR-Code scannen und ihre Daten bestätigen. Wer das Formular ausfüllt, erhält anschließend einen Anruf der vermeintlichen Hausbank. Vor diesem Ablauf warnte die Deutsche Industrie- und Handelskammer (DIHK) am 30. September 2026.

Die Täter verbinden Briefpost, eine gefälschte Internetseite und ein Telefonat. Dabei missbrauchen sie nicht nur das IHK-Logo: Nach Angaben der IHK Würzburg-Schweinfurt erscheint beim anschließenden Anruf sogar eine IHK-Rufnummer auf dem Display. Die Person am anderen Ende gibt sich dennoch als Bankmitarbeiter aus.

Das Wichtigste im Überblick

• Quishing ist Phishing über QR-Codes. Häufig führen diese auf gefälschte Anmelde- oder Bezahlseiten.
• Die IHK-Warnung beschreibt einen Betrug in mehreren Schritten: Brief, Dateneingabe und anschließender Anruf.
• QR-Codes können auch in E-Mails, PDF- und Word-Dateien stecken.
• Logos und angezeigte Telefonnummern beweisen nicht, dass eine Aufforderung echt ist.
• Nach einem verdächtigen Scan kommt es darauf an, ob Sie Daten eingegeben, eine Freigabe erteilt oder Software installiert haben.

Wie die gefälschten IHK-Briefe aufgebaut sind

Die Schreiben stammen angeblich von einer „IHK-Servicezentrale“. Echte Adressdaten der IHK-Organisation sollen Vertrauen schaffen. Der QR-Code trägt ein IHK-Logo; das aufgerufene Formular zeigt nach Eingabe des Ortes die zuständige Kammer an. Abgefragt werden Unternehmensdaten einschließlich der Bankverbindung.

Im anschließenden Telefonat sollen Betroffene gemeinsam mit dem angeblichen Bankmitarbeiter Einstellungen im Onlinebanking vornehmen. Die DIHK schreibt dazu in ihrer Warnmeldung vom 30. September: „Tun Sie dies unter gar keinen Umständen, auch wenn der Anrufer noch so hartnäckig ist!“

Auch eine vertraute Telefonnummer auf dem Display ist kein Echtheitsnachweis. Bei der als „Call-ID-Spoofing“ bezeichneten Manipulation wird eine andere Absenderrufnummer vorgetäuscht. Die IHK Würzburg-Schweinfurt beschreibt diesen Trick ausdrücklich für den gemeldeten Fall.

Wer einen solchen Anruf erhält, sollte auflegen und die betreffende Stelle selbst über eine unabhängig bekannte Telefonnummer kontaktieren. Nutzen Sie dafür weder die Rückruffunktion noch eine Nummer aus dem verdächtigen Schreiben.

Was ist Quishing?

Der Begriff verbindet QR-Code und Phishing. Kriminelle nutzen die Codes, um Menschen beispielsweise auf nachgebaute Login- oder Zahlungsseiten zu führen. Dort sollen sie Passwörter, Kreditkartendaten oder andere vertrauliche Angaben eingeben.

Ein QR-Code selbst ist zunächst nur ein maschinenlesbarer Datenträger. Er kann eine Internetadresse, Kontaktinformationen oder andere Inhalte speichern. Das Problem: Dem Muster sieht man nicht an, wohin es führt. Erst die Kamera oder eine Scanner-App liest den Inhalt aus.

Eine brauchbare Scanfunktion zeigt deshalb die hinterlegte Adresse an, bevor sie eine Webseite öffnet. Das ermöglicht eine erste Prüfung. Eine Garantie ist sie nicht: Kurzlinks oder Weiterleitungen können das endgültige Ziel verbergen.

Nicht jeder QR-Code mit anschließender Anmeldung oder Zahlung ist betrügerisch. Solche Abläufe gehören auch zu regulären Angeboten. Prüfen Sie, ob Sie den Vorgang selbst gestartet haben, woher der Code stammt und ob das Ziel zum erwarteten Anbieter gehört.

Warum auch PDF- und Word-Dateien betroffen sind

Die Falle kann ebenso im E-Mail-Postfach liegen. Ein angebliches Dokument fordert dazu auf, einen QR-Code zu scannen und sich mit dem Firmenkonto anzumelden. Microsoft dokumentierte in seiner Quartalsanalyse vom Juli 2026 sowohl PDF- als auch Word-Anhänge als Verbreitungswege.

Wer den Code auf dem Firmenbildschirm mit seinem privaten Smartphone scannt, setzt den Vorgang auf einem anderen Gerät fort. Dieses wird möglicherweise nicht von der Unternehmens-IT verwaltet und überwacht. Auf dieses Risiko weist der Sicherheitsanbieter ESET hin.

Das bedeutet allerdings nicht, dass QR-Codes Sicherheitssoftware grundsätzlich umgehen. Geeignete Systeme können Codes in Anhängen erkennen, auslesen und die enthaltenen Internetadressen prüfen. Unternehmen sollten diese Fähigkeit bei ihrem E-Mail-Schutz berücksichtigen und QR-Code-Betrug in Schulungen einbeziehen.

Dass auch Menschen mit Hochschulabschluss von Phishing betroffen sind, zeigt eine aktuelle Befragung zur Phishing-Erfahrung, über die ingenieur.de berichtet hat.

So erkennen Sie irreführende Internetadressen

Eine gefälschte Seite kann dem Original sehr ähnlich sehen. Prüfen Sie deshalb die tatsächliche Adresse. Ein Firmenname irgendwo in der URL genügt nicht.

Diese schematischen Beispiele zeigen den Unterschied:

In den beiden letzten Fällen ist „beispiel.de“ lediglich ein vorangestellter Teil der Adresse. Die Seite liegt unter einer anderen Domain. Auch HTTPS bestätigt nur eine verschlüsselte Verbindung, nicht die Vertrauenswürdigkeit des Anbieters.

Bei unerwarteten Aufforderungen ist es besser, die bekannte App direkt zu öffnen oder die vertraute Internetadresse selbst einzugeben. So prüfen Sie den behaupteten Handlungsbedarf unabhängig von der Nachricht. Weitere Hinweise zum Umgang mit solchen Nachrichten finden Sie in unserem Beitrag über raffinierte Phishing-Mails.

Gefälschte QR-Codes an Ladesäulen und Parkautomaten

Im öffentlichen Raum können Betrüger eigene Aufkleber über vorhandene QR-Codes kleben. Wer bezahlen möchte, landet dann auf einer nachgebauten Seite. Ein bekanntes Logo auf dem Aufkleber schützt davor nicht.

Die Polizeiliche Kriminalprävention empfiehlt in ihrem Quishing-Ratgeber: „Ein zusätzlicher Aufkleber, der die Originalbeschriftung überklebt, kann ein Warnsignal sein.“

Schauen Sie deshalb vor dem Scan auf die Beschilderung. Ist der Code überklebt oder wirkt etwas verändert, verwenden Sie einen anderen Zahlungsweg. Bei Parkautomaten lässt sich die Parkzone häufig direkt in der offiziellen App eingeben. An Ladesäulen können je nach Betreiber eine bekannte Lade-App oder eine Ladekarte den Scan ersetzen.

Was tun, wenn Sie den QR-Code bereits gescannt haben?

Hat die Kamera lediglich die Adresse angezeigt und wurde diese nicht geöffnet, ist normalerweise noch kein Angriff erfolgreich gewesen. Auch ein Webseitenaufruf bedeutet nicht automatisch, dass ein Konto übernommen wurde. Schließen Sie eine verdächtige Seite und halten Sie Browser sowie Betriebssystem aktuell.

Sind Sie bereits weitergegangen, richtet sich die Reaktion nach dem Vorgang:

• Passwort eingegeben: Ändern Sie es über die echte App oder Webseite. Ersetzen Sie es auch bei anderen Diensten, wenn Sie dasselbe Passwort mehrfach verwenden. Informieren Sie bei Firmenkonten sofort die IT.
• Anmeldung oder Geräteverknüpfung bestätigt: Prüfen Sie aktive Sitzungen und verbundene Geräte. Lassen Sie unberechtigte Zugriffe beenden beziehungsweise Verknüpfungen entfernen. Ein Passwortwechsel allein beendet nicht bei jedem Dienst sämtliche bestehenden Sitzungen.
• Zahlungsdaten übermittelt oder Geldtransfer freigegeben: Kontaktieren Sie unverzüglich Ihre Bank beziehungsweise den Kartenanbieter. Klären Sie notwendige Sperren und ob eine Zahlung noch gestoppt werden kann.
• Software installiert oder Fernzugriff erlaubt: Trennen Sie das betroffene Gerät vom Netzwerk und holen Sie Unterstützung durch die IT oder eine fachkundige Stelle. Nutzen Sie für sensible Kontozugriffe ein anderes, vertrauenswürdiges Gerät.

Bewahren Sie bei einem Betrugsverdacht den Brief, Nachrichten und relevante Bildschirmaufnahmen als Belege auf. Erstatten Sie Anzeige bei der Polizei. Und falls nach der Dateneingabe jemand anruft: Dass die Person Ihren Namen oder Ihre Bankverbindung kennt, macht sie nicht zum Bankmitarbeiter.

Quellen

• DIHK: Warnung vor Briefen mit QR-Code und anschließendem Fake-Anruf, 30. September 2026.
• IHK Würzburg-Schweinfurt: Gefälschte IHK-Schreiben und manipulierte Anrufe, 30. September 2026.
• Microsoft: Email threat landscape – Q2 2026, 23. Juli 2026.
• ESET: So umgeht QR-Code-Phishing die Sicherheitsmaßnahmen von Unternehmen, 18. August 2026.
• Verbraucherzentrale: Quishing – falsche QR-Codes in Mails, Briefen und Straßenverkehr.
• Polizeiliche Kriminalprävention: Quishing – wenn ein QR-Code zur Falle wird.